Zašto poslovna e-pošta ne smije ostati na hosting paketu — Microsoft 365, Google Workspace i alternative

Scenarij koji vidimo gotovo svaki tjedan izgleda ovako. Tvrtka je prije nekoliko godina naručila web stranicu. U paketu je bio i „neograničen broj email adresa", pa je netko otvorio [email protected], zatim prodaja@, pa ime.prezime@. Lozinke su podijeljene usmeno ili u Viber grupi. Pošta se čita kroz webmail i kroz Outlook na jednom računalu, a ponekad i na mobitelu — preko IMAP-a, s istom lozinkom.

To tehnički radi. Poruke odlaze, poruke stižu, račun za hosting je nekoliko desetaka eura godišnje i nitko nema razloga išta mijenjati. Problem je što se troškovi takvog postava ne pojavljuju na računu, nego u poslovanju — i to obično tek kad zaboli:

• Ponuda poslana važnom klijentu završi u spamu, a Vi to saznate tri dana kasnije, telefonom, kad je posao već otišao drugome.
• Zaposlenik ode iz tvrtke i nitko ne zna gdje su njegove poruke, tko sada prima poštu s njegove adrese i je li još netko ima na mobitelu.
• Netko upiše lozinku na lažnu stranicu i napadač tiho čita komunikaciju tjednima prije nego pošalje lažni račun s promijenjenim IBAN-om.
• Pretinac se napuni, poruke počnu odbijati, a arhive nema jer je „backup" zapravo bio jedan PST na nečijem laptopu.
• Klijent ili revizor traži dokaz tko je i kada pristupio nekoj poruci — a takav trag jednostavno ne postoji.

Poanta ovog članka nije da je hosting mail loš proizvod. Poanta je da hosting mail rješava jedan problem — dostavu poruka — dok poslovna e-pošta danas mora rješavati četiri: isporučivost, kontrolu pristupa, oporavak i dokazivost. Ta razlika je ono što se plaća licencom.

U nastavku idemo redom kroz te probleme, s brojkama i pravilima koja su javno objavljena, pa kroz poštenu usporedbu, alternative i — jednako važno — situacije u kojima hosting mail jest dovoljan.

Isporučivost je jedina stavka na ovom popisu koja Vas može koštati novca a da nikad ne saznate da se dogodila. Poruka koja završi u spamu ne generira grešku. Klijent ne dobije obavijest. Vi vidite „poslano" i čekate odgovor koji ne dolazi.

Što veliki pružatelji danas traže

Od 1. veljače 2024. Google traži od svih pošiljatelja koji šalju na privatne Gmail račune: postavljen SPF ili DKIM, ispravne forward i reverse DNS (PTR) zapise za IP adresu s koje se šalje, TLS za prijenos, format poruke po RFC 5322 te stopu prijava spama ispod 0,3 %. Google u istom dokumentu preporučuje da se stopa drži ispod 0,1 % i da nikad ne dosegne 0,3 %.

Za pošiljatelje koji šalju više od 5.000 poruka dnevno na privatne Gmail račune traži se više: i SPF i DKIM, objavljen DMARC zapis (dovoljan je p=none), usklađenost (alignment) domene iz zaglavlja From s barem jednom od te dvije provjere, te one-click odjava po RFC 8058 za marketinške i pretplatničke poruke.

Dvije nijanse koje se u hrvatskim člancima često promaše:

• Prag od 5.000 računa se po primarnoj domeni i po 24 sata, a poddomene se zbrajaju u primarnu domenu. Google izrijekom navodi da se status skupnog pošiljatelja, jednom dodijeljen, više ne gubi.
• Google je u studenom 2025. pojačao provedbu. Aktualni Googleov dokument navodi da poruke koje ne ispunjavaju zahtjeve doživljavaju smetnje, uključujući privremena i trajna odbijanja.

Yahoo (uključujući AOL) ima vrlo sličan set zahtjeva od veljače 2024., uz dvije razlike koje vrijedi znati: Yahoo ne objavljuje brojčani prag za skupne pošiljatelje — u vlastitom FAQ-u piše da neće navesti volumni prag — i traži da DMARC prolazi, a ne samo da zapis postoji. Ako negdje pročitate „Yahoo: 5.000 dnevno", to nije ono što Yahoo piše.

Microsoft je 2025. zatvorio krug

Microsoft je 2. travnja 2025. objavio nove zahtjeve za visokovolumne pošiljatelje prema potrošačkim domenama Outlook.com, Hotmail.com i Live.com, uz dopunu od 29.-30. travnja i stupanje na snagu 5. svibnja 2025. Prag je 5.000+ poruka dnevno s iste domene u adresi pošiljatelja, a traže se SPF i DKIM koji prolaze te DMARC s barem p=none i usklađenošću.

Microsoftova dokumentacija o tome što se točno događa nesukladnim porukama nije potpuno usklađena — prvo je najavljeno slanje u neželjenu poštu s odbijanjem kasnije, a zatim je u dopuni najavljeno odbijanje od prvog dana. Ono što je danas nedvojbeno: Microsoftova stranica podrške u sadašnjem vremenu opisuje odbijanje s greškom 550 5.7.515 Access denied, sending domain does not meet the required authentication level. Također, Microsoft navodi da dodavanje na popis sigurnih pošiljatelja ne zaobilazi ovu provjeru.

Dijeljena IP adresa: „loš susjed" koji Vas košta

Ovo je razlog koji je specifičan baš za hosting mail. Na dijeljenom hostingu Vaše poruke izlaze s IP adrese koju dijelite s desecima ili stotinama drugih korisnika istog servera. Google to ne ostavlja dvojbenim — u smjernicama za pošiljatelje ima poseban odjeljak o dijeljenim IP adresama u kojem stoji da aktivnost bilo kojeg pošiljatelja koji koristi dijeljenu IP adresu utječe na reputaciju svih pošiljatelja s te adrese, te da negativna reputacija smanjuje stopu isporuke.

U istom dokumentu Google objašnjava i mehaniku kvota: kvote za DKIM i SPF vezane su uz Vašu domenu, ali kvota IP adrese dijeli se između svih pošiljatelja — kad IP adresa dosegne kvotu, sve domene koje šalju s te adrese prestaju slati. Google navodi i da grešku 550 5.7.1 možete dobiti upravo zato što šaljete s dijeljene IP adrese loše reputacije.

Yahoo u svojoj dokumentaciji o kodovima grešaka korištenje dijeljene IP adrese navodi kao uzrok problema i preporučuje da se od pružatelja hostinga zatraže namjenske IP adrese. Yahoo također spominje da se reputacijska šteta može odnositi i na podmrežu, ne samo na jednu adresu.

Kako se to konkretno dogodi? Na dijeljenom serveru dovoljan je jedan probijeni WordPress ili jedan susjed s lošom listom. Spamhaus za svoj CSS skup podataka navodi da razlozi uvrštavanja uključuju lošu higijenu marketinških lista i slanje zlonamjernih poruka zbog kompromitiranih računa ili CMS-ova — točno scenarij dijeljenog hostinga. Vaša ponuda tada strada zbog tuđe nepažnje, a Vi na to nemate nikakav utjecaj.

Pošten protuargument: ni Microsoft 365 ni Google Workspace ne šalju s namjenske IP adrese — i oni koriste zajedničku infrastrukturu. Razlika je u tome što tu infrastrukturu održava tim koji se profesionalno bavi reputacijom, koji ima ugovorne odnose s primateljima i koji agresivno gasi zloupotrebe. Nije riječ o „vlastitoj IP adresi", nego o kvaliteti susjedstva.

I na kraju, brojka koju ne treba izmišljati: ne postoji javno objavljena statistika o tome koliki postotak hosting IP adresa završi na blokadnim listama. Ako negdje vidite takav postotak, tražite izvor — mi ga nismo uspjeli pronaći ni kod Spamhausa ni kod Googlea ni kod Yahooa.

Ovdje je razlika najveća i najmanje vidljiva dok se nešto ne dogodi. Klasičan pretinac na hosting paketu u pravilu nudi jednu jedinu kontrolu: korisničko ime i lozinku. Sve ostalo — tko se prijavio, odakle, s kojeg uređaja, je li to bilo neobično, što je poslije napravio — ili ne postoji, ili postoji u obliku sistemskog loga do kojeg klijent nema pristup.

Lozinka u svakom zahtjevu: zašto je basic auth problem

IMAP, POP3 i SMTP AUTH s lozinkom (takozvana basic autentikacija) su protokoli koji šalju korisničko ime i lozinku uz svaki zahtjev, a klijent ih trajno sprema na uređaj. Microsoft je razloge za gašenje tog modela opisao vrlo izravno: basic autentikacija olakšava napadačima presretanje vjerodajnica, čime raste rizik da ukradene lozinke budu ponovno iskorištene na drugim servisima, a provođenje višefaktorske provjere uz basic autentikaciju nije jednostavno, a u nekim slučajevima nije ni moguće.

To nije teorija. Microsoft je basic autentikaciju za EAS, POP, IMAP, EWS, OAB, Autodiscover i Outlook u Exchange Onlineu ugasio i onemogućio ponovno uključivanje, a za SMTP AUTH je objavio nastavak povlačenja: do kraja prosinca 2026. bit će zadano isključena za postojeće tenante, a novi tenanti je neće imati na raspolaganju.

Praktična posljedica za hosting mail: lozinka pretinca je jedini ključ i vrijedi svugdje. Napadač koji je nabavi phishingom ili je pogodi napadom raspršivanja lozinki (password spraying) dobiva potpuni pristup, a Vi za to nemate ni obavijest ni trag.

Popis onoga što u pravilu izostaje

• Obavezna višefaktorska prijava (MFA) za sam pretinac. Mnogi hosting paneli imaju 2FA za administratorski panel, ali ne i za prijavu na IMAP/POP3/SMTP — a upravo se tim protokolima pristupa pošti.
• Podrška za passkeys i FIDO2 ključeve, jedini oblik prijave koji je otporan na moderni phishing.
• Uvjetni pristup — pravila tipa „blokiraj prijavu izvan EU", „traži MFA s nepoznatog uređaja", „ne dopusti preuzimanje pošte na neupravljani mobitel".
• Detekcija preuzimanja računa — upozorenje na nemoguće putovanje, prijavu s anonimizirajuće mreže ili neuobičajen obrazac slanja.
• Napredna anti-phishing zaštita — provjera poveznica u trenutku klika, detonacija privitaka u izoliranom okruženju, zaštita od lažnog predstavljanja direktora ili dobavljača.
• Audit trag — tko se prijavio, tko je čitao tuđi pretinac, tko je postavio pravilo prosljeđivanja, tko je što obrisao.
• Karantena i naknadno povlačenje poruka — mogućnost da se poruka koja je prošla filter povuče iz pretinca nakon što se prepozna kao zloćudna.
• Upravljanje uređajima — mogućnost da se s izgubljenog mobitela obriše samo poslovna pošta.

Budimo pošteni: ni licenca ne rješava sve automatski

Ovdje je važno ne pretjerati, jer se na ovom mjestu piše puno marketinške neistine. Microsoft 365 Business Basic i Business Standard ne uključuju Microsoft Defender for Office 365. Oni dobivaju ugrađenu zaštitu (Exchange Online Protection): anti-malware, anti-spam, zaštitu od spoofinga, karantenu, automatsko povlačenje poruka (ZAP), pretragu audit loga i message trace. To je i dalje neusporedivo više od tipičnog hosting maila — ali Safe Links, Safe Attachments i zaštita od lažnog predstavljanja stižu tek s Defenderom for Office 365 Plan 1, koji je uključen u Microsoft 365 Business Premium (ili se dokupljuje).

Isto vrijedi i za kontrolu pristupa: Conditional Access traži Microsoft Entra ID P1, koji dolazi s Business Premiumom. Basic i Standard imaju Security Defaults — što jest obavezna MFA za sve, i to je velik skok u odnosu na hosting mail — ali ne i granularna pravila.

Na Googleovoj strani vrijedi analogno: Context-Aware Access i Security investigation tool nisu dio Business paketa (Starter, Standard, Plus), nego Enterprise, Frontline Standard i viših izdanja. Dvofaktorska prijava, prisilna primjena 2SV i sigurnosni ključevi jesu dostupni u svim izdanjima.

Iskren zaključak ove sekcije: prelazak s hosting maila na Microsoft 365 Business Basic ili Google Workspace Business Starter donosi ogroman skok u osnovnoj higijeni — MFA, moderna autentikacija, audit log, karantena. Ne donosi automatski „enterprise sigurnost". Za to postoji sljedeća razina licence ili dodatni sloj zaštite.

Napad na poslovnu e-poštu rijetko izgleda kao hakiranje iz filmova. U praksi izgleda ovako:

1. Phishing. Zaposlenik dobije poruku „istječe Vam lozinka za email" ili „nova poruka u karanteni" i upiše vjerodajnice na stranicu koja izgleda uvjerljivo.
2. Tihi pristup. Napadač se prijavi na pretinac. Ako pretinac nema MFA, tu je gotovo. Ako ima, napadač pokušava zaobilaženje — ili traži stariji protokol koji MFA ne provodi.
3. Izviđanje. Napadač ne radi ništa tjednima. Čita komunikaciju, uči tko odobrava plaćanja, kako izgledaju Vaši računi, koje fraze koristite, kada su ljudi na godišnjem.
4. Pravilo prosljeđivanja. Postavi se tiho pravilo koje kopije poruka šalje van ili premješta određene poruke u mapu koju nitko ne gleda.
5. Zahvat. U pravom trenutku pošalje se račun s promijenjenim IBAN-om — iz prave adrese, u pravom threadu, s pravim potpisom.

Prema godišnjem izvješću FBI-jevog IC3 centra za 2025., BEC prijevare su generirale oko 3 milijarde dolara prijavljene štete i bile su druga kategorija po visini gubitka, odmah iza investicijskih prijevara. Za hrvatsku tvrtku ta brojka nije relevantna po iznosu, nego po obrascu: ovo nije napad na tehnologiju, nego na proces — a e-pošta je mjesto na kojem se proces odvija.

Zašto je hosting mail ovdje posebno izložen

Sve što je opisano u koracima 2 do 4 na hosting mailu je nevidljivo:

• Nema zapisa o prijavi, pa ne znate da je netko drugi ušao u pretinac.
• Nema upozorenja na neobičnu lokaciju ili neobičan uređaj.
• Pravilo prosljeđivanja postavljeno kroz webmail u pravilu se ne prijavljuje nikome.
• Nema načina da se sesija napadača opozove — promjena lozinke ne prekida nužno već uspostavljene IMAP veze na svim klijentima.
• Nakon incidenta nema traga iz kojeg bi se rekonstruiralo što je točno kompromitirano — a to je upravo ono što traži GDPR članak 33. kod procjene je li nastupila povreda osobnih podataka.

Na Microsoft 365 ili Google Workspaceu isti napad ostavlja tragove: neuspjele i uspješne prijave, IP adrese, promjene pravila pretinca, masovno slanje. To ne znači da se napad neće dogoditi — znači da ga možete otkriti, zaustaviti i dokumentirati. U incidentu je razlika između „mislimo da je bilo ovako" i „evo točnog vremenskog slijeda" razlika između pretpostavke i dokaza.

Praktična mjera koju treba uvesti bez obzira na platformu: promjena IBAN-a nikad se ne potvrđuje e-poštom. Poziv na broj iz ugovora, ne na broj iz poruke. Ta jedna procedura zaustavlja veći dio štete od bilo kojeg filtera.

Ovo je najvažniji dio ovog članka i mjesto na kojem se najviše griješi — u oba smjera. Jedni tvrde da je hosting mail nesiguran jer nema backup, a Microsoft 365 ga ima. Drugi prodaju Microsoft 365 kao rješenje za backup. Oboje je netočno.

Model podijeljene odgovornosti

Microsoft u dokumentaciji o podijeljenoj odgovornosti u oblaku piše nedvosmisleno: za sve modele isporuke oblaka Vi ste vlasnik svojih podataka i identiteta i odgovorni ste za zaštitu njihove sigurnosti. U pripadajućoj matrici odgovornosti stavke Customer data, Configurations and settings te Identities and users su u svim stupcima — uključujući SaaS, dakle Microsoft 365 — pripisane kupcu.

Google isto tako u svojim uvjetima obrade podataka među sigurnosne odgovornosti kupca navodi izradu sigurnosnih kopija ili zadržavanje kopija svojih podataka, prema potrebi.

Drugim riječima: pružatelj jamči da će usluga raditi i da neće izgubiti Vaše podatke zbog svog kvara. Ne jamči da će Vam vratiti poruku koju je Vaš zaposlenik obrisao prije pet mjeseci, ni pretinac korisnika kojeg ste ugasili prije dva mjeseca.

Koliko točno traje zadano zadržavanje

Konkretne brojke, jer se o njima najviše nagađa.

Microsoft 365 / Exchange Online:

• Mapa Deleted Items u zadanoj politici nema pravilo automatskog brisanja — poruke ondje stoje dok ih korisnik ne obriše ili dok administrator ne doda odgovarajuću oznaku zadržavanja.
• Nakon što ih korisnik obriše i odande, idu u Recoverable Items, gdje se zadano čuvaju 14 dana. Administrator to može podići na najviše 30 dana. Kalendarske stavke su iznimka i čiste se nakon 120 dana.
• Mapa obrisana kombinacijom Shift+Delete ne može se vratiti ni ako je pretinac pod pravnim zadržajem — vraća se samo njezin sadržaj.
• Kad se korisnički račun obriše, podaci pretinca čuvaju se 30 dana; nakon toga se trajno uklanjaju. Da bi pretinac postao inactive mailbox i preživio brisanje računa, zadržaj mora biti primijenjen prije brisanja — Exchange politika zadržavanja (MRM) za to nije dovoljna.
• Microsoft za oporavak podataka iz neaktivnog pretinca kroz Content Search izrijekom navodi da je to podržano samo za eDiscovery svrhe i da se ne može koristiti kao rješenje za backup.

Google Workspace:

• Gmail Smeće: 30 dana, nije podesivo. Nakon toga je poruka trajno obrisana za korisnika.
• Administrator ima dodatnih 25 dana za vraćanje poruka, računajući od isteka onih 30 — dakle ukupno oko 55 dana. Unutar tog prozora administrator ne može vratiti nacrte, poruke iz mape neželjene pošte ni oznake i njihovu strukturu.
• Obrisani korisnički račun vraća se najviše 20 dana nakon brisanja.
• Google Vault nije backup, i Google to piše doslovno. Na pitanje „Is Vault a data backup or archive tool?" odgovor u službenom FAQ-u glasi da nije zamišljen kao alat za backup ili arhivu. Vault također samo izvozi, ne vraća podatke natrag u korisnički Gmail, a zadržaj u Vaultu ne preživljava brisanje korisnika.
• Vault nije uključen u Business Starter ni Business Standard — dolazi od Business Plusa naviše.

Što onda jest backup

Backup je zaseban sloj, s vlastitom retencijom, vlastitim pristupom i vlastitim testom vraćanja. Microsoft za to ima Microsoft 365 Backup — koji je zaseban plaćeni dodatak, dostupan od 31. srpnja 2024., naplaćuje se po potrošnji (Microsoftova objavljena cijena je 0,15 USD po GB zaštićenog sadržaja mjesečno), traži aktivnu Azure pretplatu i nije uključen ni u jedan Business paket. Njegova retencija je jedna godina. Postoji i cijeli niz neovisnih rješenja za backup Microsoft 365 i Google Workspace okruženja, među kojima i ono koje mi implementiramo kod klijenata.

Zaključak koji vrijedi upamtiti: profesionalni pretinac je nužan, ali nije dovoljan. Prelaskom na Microsoft 365 ili Google Workspace rješavate autentikaciju, kontrolu pristupa, audit i operativu. Backup i dalje morate riješiti posebno — i, što je jednako važno, jednom godišnje testirati vraćanje. Backup koji nikad nije vraćen nije backup, nego nada.

Odmah da razjasnimo najveću zabludu: ni jedan hrvatski ni europski propis ne traži Microsoft 365, Google Workspace ni bilo koji drugi proizvod. Propisi traže sposobnosti — kontrolu pristupa, oporavak, evidenciju, prijavu incidenata. Proizvod je Vaš izbor. Ono što se u praksi događa jest da se te sposobnosti na klasičnom hosting mailu jednostavno teško izvode.

Zakon o kibernetičkoj sigurnosti (NN 14/2024) i NIS2

Vrlo važna ograda koju većina članaka preskoči: Zakon o kibernetičkoj sigurnosti obvezuje ključne i važne subjekte iz sektora navedenih u prilozima Zakona. Ne obvezuje svaku hrvatsku tvrtku. Zakon i sam spominje mala i srednja poduzeća na koja se ne primjenjuje. Ako Vaša tvrtka nije u obuhvatu — a većina malih tvrtki nije — ZKS Vam nije obveza, ali njegov popis mjera i dalje je izvrsna checklista.

Za one koji jesu u obuhvatu, članak 30. nabraja mjere upravljanja kibernetičkim sigurnosnim rizicima. Za e-poštu su izravno relevantne:

• postupanje s incidentima, uključujući njihovo praćenje, evidentiranje i prijavljivanje;
• kontinuitet poslovanja, kao što je upravljanje sigurnosnim kopijama i oporavak od nesreća, prekida rada i incidenata te upravljanje kibernetičkim krizama;
• sigurnost ljudskih resursa, politike kontrole pristupa i upravljanja programskom i sklopovskom imovinom;
• korištenje višefaktorske provjere autentičnosti ili rješenja kontinuirane provjere autentičnosti.

Te mjere doslovno preslikavaju članak 21. stavak 2. NIS2 direktive (Direktiva (EU) 2022/2555), točke (b), (c), (i) i (j).

Jednako važan je članak 26. stavak 4. ZKS-a: obveza provođenja mjera vrijedi bez obzira na to upravlja li subjekt svojim sustavima sam ili koristi vanjskog davatelja usluge. Prelazak u oblak ne prenosi Vašu odgovornost na Microsoft ili Google — to je zakonska potvrda istog modela podijeljene odgovornosti o kojem smo govorili u prethodnoj sekciji.

GDPR — a on se odnosi na praktički sve

Za razliku od ZKS-a, GDPR se primjenjuje na gotovo svaku tvrtku koja obrađuje osobne podatke — a poslovna e-pošta ih je puna: imena, adrese, telefoni, ponekad i podaci iz ugovora ili zdravstvene informacije.

Tri odredbe koje se izravno naslanjaju na sve gore navedeno:

• Članak 32. stavak 1. točka (c) traži „sposobnost pravodobne ponovne uspostave dostupnosti osobnih podataka i pristupa njima u slučaju fizičkog ili tehničkog incidenta". To je, praktično rečeno, zahtjev za mogućnošću oporavka — ne izrijekom za backupom, ali teško da ga ispunjavate ako obrisanu poštu ne možete vratiti nakon 15 dana.
• Članak 32. stavak 1. točka (b) traži sposobnost osiguravanja trajne povjerljivosti, cjelovitosti, dostupnosti i otpornosti sustava obrade, a točka (d) redovito testiranje djelotvornosti mjera.
• Članak 5. stavak 2. uvodi načelo pouzdanosti: voditelj obrade mora biti u mogućnosti dokazati usklađenost. Bez audit traga to je vrlo teško.
• Članak 33. traži prijavu povrede nadzornom tijelu bez nepotrebnog odgađanja i, ako je izvedivo, najkasnije 72 sata od saznanja. Ako nemate logove, u tih 72 sata nećete moći odgovoriti ni na osnovno pitanje — čiji su podaci zahvaćeni.

eDiscovery i pretraga: praktični test

Postoji jednostavan test kojim možete provjeriti gdje stojite. Zamislite da Vam odvjetnik ili revizor sutra kaže: „Trebamo svu komunikaciju s tvrtkom X u razdoblju od siječnja do lipnja 2025., uključujući poruke bivšeg zaposlenika."

Na Microsoft 365 ili Google Workspaceu to je zadatak od nekoliko sati: pretraga preko svih pretinaca, izvoz, evidencija tko je pretragu izvršio. Na hosting mailu to znači skupljanje PST i MBOX datoteka s računala zaposlenika i nadu da bivši zaposlenik nije obrisao svoj Outlook profil. Razlika nije u sigurnosti, nego u tome je li zadatak izvediv.

I ovdje budimo precizni oko licenci: Microsoft Purview Audit (Standard) zadano čuva audit zapise 180 dana (za zapise nastale od 17. listopada 2023.), a produljenje preko toga traži E5 razinu ili poseban dodatak. Google Vault, kao što smo rekli, dolazi tek od Business Plusa naviše.

Sigurnost i usklađenost su argumenti za upravu. Operativa je argument za ljude koji taj mail zapravo koriste — i često je ona ta koja presudi.

Dijeljeni pretinci umjesto dijeljenih lozinki

Na hosting mailu adresa info@ je jedan pretinac s jednom lozinkom koju zna troje ljudi. Nitko ne zna tko je odgovorio, dvoje odgovori istom klijentu, a kad jedan od njih ode, lozinku treba mijenjati svima.

U Microsoft 365 dijeljeni pretinac (shared mailbox) ne troši zasebnu licencu — korisnik mora imati Exchange Online licencu da bi mu pristupio, ali sam pretinac ne treba svoju, i bez licence ima 50 GB. Svatko piše iz svog identiteta, u pretinac se šalje „kao" zajednička adresa, a tko je što napravio ostaje zabilježeno. U Google Workspaceu isti posao radi Google Groups Collaborative Inbox ili delegiranje pretinca.

Aliasi, delegiranje, zamjene

• Aliasi — dodatne adrese na istom pretincu (npr. racuni@ i invoices@) bez dodatnog troška i bez dodatne lozinke.
• Delegiranje — tajnica može upravljati direktorovim kalendarom i poštom bez da zna njegovu lozinku. Na hosting mailu to znači davanje lozinke, što ruši svaku mogućnost dokazivanja tko je što učinio.
• Automatski odgovor i preusmjeravanje tijekom godišnjeg — postavlja ih administrator, dokumentirano, i uklanjaju se kad zamjena završi.

Offboarding: najkonkretniji trošak lošeg postava

Zaposlenik odlazi. Što se događa s njegovom poštom?

Na hosting mailu obično jedno od dvoje: pretinac se obriše (i s njim povijest komunikacije s klijentima), ili se ostavi aktivan s istom lozinkom (i onda je to otvoren račun koji bivši zaposlenik i dalje ima na svom mobitelu).

Na Microsoft 365 uredan postupak je: opozvati sesije, resetirati lozinku, pretvoriti pretinac u dijeljeni pretinac (nakon čega licenca može ići drugom korisniku), postaviti prosljeđivanje na nasljednika i zadržati povijest. Na Google Workspaceu ekvivalent je prijenos podataka na drugog korisnika i prebacivanje na Archived User licencu. U oba slučaja: pošta ostaje tvrtki, pristup nestaje isti dan, i to je zabilježeno.

Kapaciteti, sinkronizacija i ograničenja slanja

• Veličina pretinca. Microsoft 365 Business Basic i Standard imaju 50 GB po korisniku prema aktualnom opisu usluge; Microsoft je izmjenom pakiranja od 1. srpnja 2026. najavio dodatnih 50 GB prostora za poštu, pa provjerite aktualno stanje kod pružatelja. Google Workspace ima 30 GB po korisniku na Business Starteru, 2 TB na Business Standardu i 5 TB na Business Plusu.
• Sinkronizacija više uređaja. Exchange i Gmail sinkroniziraju stanje pročitano/nepročitano, mape, kalendar i kontakte između računala, mobitela i weba. IMAP sinkronizira poruke, ali kalendar i kontakti u pravilu ostaju lokalni — zato se kod hosting maila kontakti tako često „izgube" pri zamjeni računala.
• Ograničenja slanja. Exchange Online dopušta 10.000 primatelja dnevno po pretincu i do 1.000 primatelja po poruci, uz dodatno ograničenje broja vanjskih primatelja na razini tenanta (TERRL) koje ovisi o broju licenci. Google Workspace dopušta 2.000 poruka dnevno, do 2.000 primatelja po poruci (od čega najviše 500 vanjskih) i 3.000 vanjskih primatelja dnevno.

Važno upozorenje za newsletter: ni Microsoft 365 ni Google Workspace nisu namijenjeni masovnom slanju. Microsoft to i piše u dokumentaciji — Exchange Online nije prikladan za bulk-mailing scenarije. Newsletter ide kroz namjenski servis (Brevo, Mailchimp, SendGrid i slični), koji se onda mora autorizirati u SPF-u i uskladiti s DKIM-om i DMARC-om. Isti savjet vrijedi i ako ostajete na hosting mailu.

Tablica uspoređuje tipičan hosting mail s ulaznim poslovnim paketima. „Tipičan" je važna riječ — ponuda hostera se razlikuje, pa provjerite što točno Vaš pružatelj nudi prije nego zaključite.

Kriterij	Hosting mail (tipično)	Microsoft 365 Business Basic/Standard	Google Workspace Business Starter/Standard
SPF / DKIM	Uglavnom moguće kroz sučelje	Da, DKIM se uključuje u konzoli	Da, DKIM se generira u konzoli
DMARC izvještaji i analiza	Ne — zapis se mora dodati ručno, izvještaja nema	Zapis ručno; analiza kroz vanjski alat	Zapis ručno; analiza kroz vanjski alat
Reputacija IP adrese	Dijeljena s ostalim korisnicima servera	Upravljana infrastruktura pružatelja	Upravljana infrastruktura pružatelja
Obavezna MFA za pretinac	Rijetko ili nikako za IMAP/POP3	Da (Security Defaults)	Da (2SV enforcement)
Passkeys / FIDO2	Ne	Da	Da
Uvjetni pristup	Ne	Ne — traži Business Premium (Entra ID P1)	Ne — traži Enterprise izdanja
Napredni anti-phishing (Safe Links / detonacija privitaka)	Ne	Ne — traži Business Premium (Defender P1)	Djelomično; napredni alati u višim izdanjima
Audit trag prijava i radnji	Ne (ili nedostupan klijentu)	Da, zadano 180 dana	Da, u pravilu 6 mjeseci
Karantena i naknadno povlačenje poruke	Ne	Da (karantena, ZAP)	Da (admin karantena)
Dijeljeni pretinci	Dijeljenjem lozinke	Da, bez zasebne licence (50 GB)	Da, kroz Groups Collaborative Inbox
Delegiranje bez dijeljenja lozinke	Ne	Da	Da
Uredan offboarding	Brisanje ili otvoren račun	Pretvorba u dijeljeni pretinac	Prijenos podataka + Archived User
Prostor po korisniku	Kvota hosting paketa (često 1-10 GB)	50 GB (uz najavljeno povećanje 2026.)	30 GB (Starter) / 2 TB (Standard)
eDiscovery / pravni zadržaj	Ne	Osnovno; napredno u višim paketima	Vault tek od Business Plusa
Izbor EU regije za podatke	Ovisi o hosteru (često EU po defaultu)	EU Data Boundary, uz dokumentirane iznimke	Data regions od Business Standarda naviše
Backup	Ovisi o hosteru; obično kopija servera, ne pretinca	Nije uključen — zaseban proizvod	Nije uključen — Vault nije backup
Orijentacijska cijena / korisnik / mjesec	Uključeno u hosting paket	oko 4,7-6,1 € / 9,3-12,1 €	6,80 € / 13,60 €

Napomena o cijenama: iznosi su bez PDV-a, uz godišnju obvezu, očitani u kolovozu 2026. Raspon kod Microsofta postoji jer se u Europskom gospodarskom prostoru paketi prodaju i u varijanti bez Teamsa (jeftinije), a Teams se dokupljuje zasebno. Microsoft je u veljači 2026. snizio cijene u eurima, a od 1. srpnja 2026. proveo globalno poskupljenje — cijene se mijenjaju, provjerite ih izravno kod pružatelja prije odluke.

Ovo pitanje izaziva neproporcionalno puno emocija. Praktično gledano, oba su ozbiljna rješenja i oba će riješiti 90 % onoga zbog čega odlazite s hosting maila. Odluka se svodi na to gdje su Vaši dokumenti i kakve su Vaše navike.

Uzmite Microsoft 365 ako…

• Tim intenzivno radi u Excelu s naprednim formulama, zaokretnim tablicama, makronaredbama ili Power Queryjem. Google Sheets je dobar, ali kompleksne Excel datoteke ne prelaze bez trenja.
• Netko inzistira na desktop Outlooku — dugogodišnja navika je stvaran trošak migracije, ne hir.
• Vaš ERP, računovodstveni ili proizvodni softver očekuje Microsoftov ekosustav, integrira se s Outlookom ili šalje kroz Exchange.
• Imate Windows računala i želite upravljanje uređajima pod istim krovom (Business Premium donosi Intune).
• Klijenti ili partneri Vam šalju dokumente s kompleksnim formatiranjem koje mora ostati netaknuto.

Uzmite Google Workspace ako…

• Tim živi u pregledniku i nitko ne traži instalirane aplikacije.
• Suradnja u realnom vremenu na istom dokumentu je svakodnevni način rada, a ne povremena potreba.
• Imate puno mobilnih ili terenskih korisnika — Gmail i Google Drive na mobitelu su i dalje ugodniji za rad.
• Želite jednostavniju administraciju. Googleova konzola je zamjetno pristupačnija od Microsoftovog skupa portala.
• Dolazite s Gmaila i tim već zna sučelje — trening je tada praktički nula.

Gdje se stvarno razlikuju

• Cijena ulaznog paketa. Microsoft 365 Business Basic je jeftiniji od Google Workspace Business Startera, ali Basic nema desktop Office aplikacije. Ako Vam trebaju, uspoređujte Business Standard s Business Standardom.
• Prostor. Google Workspace Business Standard daje 2 TB po korisniku; Microsoft 365 Business Standard daje 50 GB pošte plus 1 TB OneDrivea. Ako radite s videom ili velikim datotekama, to je bitna razlika.
• Sigurnost u ulaznom paketu. Ni jedan ni drugi ne daju napredne kontrole u najnižem paketu. Kod Microsofta skok je na Business Premium; kod Googlea na Enterprise izdanja, što je skuplji skok.
• Arhiva i pravni zadržaj. Google Vault dolazi tek od Business Plusa. Microsoftova osnovna pretraga audit loga i zadržavanje dostupni su i u nižim paketima, s ograničenjima.
• Broj korisnika. Oba Business niza ograničena su na 300 korisnika. Iznad toga idu Enterprise paketi.

Naša praktična preporuka: ne birajte po sigurnosti — obje platforme su tu daleko ispred hosting maila. Birajte po tome gdje su Vaši dokumenti danas i što Vaš tim već zna koristiti. Migracija pošte je jednokratan posao; svakodnevno trenje s alatom koji ljudima ne odgovara traje godinama.

Microsoft i Google nisu jedini izbor i za dio tvrtki nisu najbolji. Evo poštenog pregleda — s cijenama očitanima u kolovozu 2026., i sa slabostima, ne samo prednostima.

Zoho Mail — najbolji omjer cijene i mogućnosti

Cijena: Mail Lite od 0,90 € po korisniku mjesečno (5 GB) odnosno 1,13 € (10 GB) uz godišnju obvezu, Mail Premium 3,60 € (50 GB). Puni uredski paket Workplace Standard je 2,70 €.

Za koga: tvrtke koje trebaju ozbiljan poslovni pretinac s vlastitom domenom, aliasima i administracijom, ali im ne trebaju Office ni Google Docs. Također za tvrtke koje već koriste Zoho CRM.

Slabosti: ekosustav je golem i ponekad neujednačen; integracije s trećim alatima su slabije nego kod Microsofta i Googlea; podrška je udaljena. EU centar podataka postoji (Amsterdam kao primarni, Dublin kao sekundarni), ali bira se pri registraciji — naknadna promjena nije zajamčena, pa to treba postaviti odmah.

Proton Business — kad je povjerljivost glavni argument

Cijena: Mail Essentials 6,99 € po korisniku mjesečno uz godišnju obvezu (15 GB, 10 adresa, 3 domene); Workspace Standard 12,99 € (1 TB).

Za koga: odvjetnički uredi, zdravstvo, novinarstvo, konzultanti koji rade s osjetljivim podacima — situacije u kojima je end-to-end enkripcija i švicarska jurisdikcija stvarni argument prema klijentu, a ne marketing.

Slabosti — i ovo je važno: Proton ne podržava IMAP, SMTP ni POP3 izravno. Za rad u Outlooku, Thunderbirdu ili Apple Mailu potreban je Proton Mail Bridge, koji radi samo na Windowsima, macOS-u i Linuxu — ne na mobitelu. POP3 nije podržan uopće. Ako Vaš ERP ili web shop šalje poštu preko SMTP-a, to treba posebno riješiti. Integracije s poslovnim alatima su znatno rjeđe nego kod velikih platformi.

Infomaniak — švicarski hosting, europski način razmišljanja

Cijena: kSuite Pro Standard 1,58 € po korisniku mjesečno (50 GB), Business 6,58 € (3 TB). Postoji i samostalni Mail Service po 1,50 € mjesečno po adresi.

Za koga: tvrtke kojima je važno da podaci fizički budu u Europi (odnosno Švicarskoj), u vlasništvu neovisne europske tvrtke, a koje ipak žele cjelovit paket — mail, drive, chat, videokonferencije i uređivanje dokumenata.

Slabosti: manji ekosustav, manje integracija trećih strana, dokumentacija i podrška prvenstveno na francuskom, engleskom i njemačkom. Ograničenje je 300 korisnika. Ako u tvrtki netko ovisi o naprednim Excel funkcijama, OnlyOffice neće biti potpuna zamjena.

Fastmail — kvalitetan pretinac, bez uredskog paketa

Cijena: Business Standard 5 € po korisniku mjesečno uz godišnju obvezu (50 GB pošte), Professional 9 €. Cijene su s uključenim porezom. Pažnja: Basic paket (3 €) ne podržava vlastitu domenu ni IMAP klijente — za poslovnu upotrebu praktički uvijek treba Standard.

Za koga: male timove koji žele brz, čist i pouzdan pretinac s vlastitom domenom, izvrsnim webmailom i punom IMAP podrškom, bez plaćanja uredskog paketa koji ne koriste.

Slabosti: nema uredskih aplikacija ni dijeljenog diska. Fastmail je australska tvrtka i podliježe australskom pravu. EU regija podataka postoji od kolovoza 2026. (Amsterdam), ali Fastmail sam navodi ograničenja: replike i dalje postoje u SAD-u, sigurnosne kopije za sve korisnike su u SAD-u, a svi sistemski zapisi konsolidirani su u SAD-u. Njihova vlastita formulacija je da ne mogu jamčiti da podaci ostaju isključivo u EU. Ako Vam je striktna EU rezidencija uvjet, ovo treba uzeti u obzir.

mailbox.org — njemački server, jednostavna priča

Cijena: Standard 4 € po pretincu mjesečno (20 GB pošte, 10 GB diska, vlastita domena, 50 aliasa), Premium 12 €. Light paket (1 €) ne podržava vlastitu domenu.

Za koga: tvrtke kojima je glavni kriterij da su serveri u Njemačkoj, uz PGP i S/MIME podršku i bez godišnjeg vezanja.

Slabosti: manji opseg funkcija od velikih platformi, skromnije administrativne mogućnosti za veće timove, ekosustav bez ozbiljnog uredskog paketa.

Poštena napomena: ove alternative rješavaju pretinac, cijenu i pitanje jurisdikcije — ali za sve njih vrijedi isto pravilo iz sekcije o backupu: ni jedna od njih nije backup, i ni jedna Vam neće automatski riješiti SPF, DKIM i DMARC. Ti poslovi ostaju Vaši bez obzira na to koga odaberete.

Bilo bi neiskreno da nakon svega gore napisanog kažemo da hosting mail nikad nema smisla. Ima — i za dio naših vlastitih klijenata ostaje razuman izbor.

Hosting mail je vjerojatno u redu ako vrijedi većina ovoga

• Jedan ili dvoje ljudi, jedna do dvije adrese, i nema potrebe za dijeljenim pretincima ni delegiranjem.
• Šaljete desetke, a ne tisuće poruka mjesečno, i to prvenstveno pojedinačnu, ne masovnu komunikaciju.
• Radite s jednog ili dva uređaja i ne trebate sinkronizaciju kalendara i kontakata na više platformi.
• Kroz e-poštu ne prolaze nalozi za plaćanje ni promjene IBAN-a, ili za njih postoji telefonska potvrda.
• Ne obrađujete osjetljive kategorije osobnih podataka (zdravstveni podaci, podaci o djeci i slično).
• Nemate zakonsku obvezu iz ZKS-a i nemate klijenta koji ugovorno traži dokazivu kontrolu pristupa.

Minimum koji tada morate imati

Ako ostajete na hosting mailu, ovih šest stvari nisu preporuka nego higijena:

1. Vlastita domena. Adrese tipa [email protected] ili [email protected] nisu samo pitanje dojma — bez vlastite domene nemate nikakvu kontrolu nad autentikacijom, ne možete postaviti DMARC i ne možete zaštititi svoje ime od zloupotrebe.
2. SPF, DKIM i DMARC — sva tri. SPF i DKIM većina hostera nudi kroz sučelje, ali DMARC gotovo nitko ne postavlja automatski, jer traži izričit DNS zapis. Krenite od p=none s adresom za izvještaje (rua), pročitajte što se stvarno šalje s Vaše domene, pa tek onda pooštravajte prema quarantine i reject. Bez ta tri zapisa Vaše poruke padaju na Googleove i Microsoftove provjere opisane ranije.
3. Jaka i jedinstvena lozinka za svaki pretinac, u password manageru, nikad podijeljena preko Vibera ili WhatsAppa. Lozinka pretinca ne smije se ponavljati nigdje drugdje.
4. Dvofaktorska prijava gdje god postoji — obavezno za sam hosting panel i registrar domene, jer tko ima pristup DNS-u, ima pristup svemu.
5. Vlastita kopija pošte. Ovo je najčešće preskočeno. Hoster u pravilu radi kopiju servera, ne kopiju Vašeg pretinca s mogućnošću vraćanja jedne poruke od prije tri mjeseca. Postavite redovit izvoz ili lokalnu arhivu i jednom provjerite da se iz nje stvarno može vratiti poruka.
6. Provjerite je li IP adresa Vašeg hostera na blokadnim listama i pitajte hostera kakva mu je politika prema zloupotrebi. Ako odgovor bude nejasan, to je samo po sebi informacija.

Znakovi da je vrijeme za prelazak

Ne treba čekati incident. Prelazak je opravdan kada se pojavi bilo koji od ovih znakova:

• Klijent Vam je rekao da mu je poruka bila u spamu — a to se ponovilo.
• Zapošljavate trećeg ili četvrtog čovjeka i počinjete dijeliti lozinke.
• Netko je otišao iz tvrtke i niste sigurni što je s njegovom poštom.
• Kroz e-poštu prolaze računi i ponude vrijedne više nego što je razlika u cijeni licenci za cijelu godinu.
• Klijent, banka ili osiguravatelj traži upitnik o kibernetičkoj sigurnosti koji ne možete pošteno ispuniti.
• Trebate poštu na mobitelu, tabletu i dva računala, uz kalendar koji se stvarno sinkronizira.

Najveći strah kod prelaska nije cijena, nego prekid rada i gubitak pošte. Oba se rješavaju redoslijedom koraka, a ne srećom.

Kako migracija zapravo teče

1. Popis stanja. Koliko adresa, koliko pošte po pretincu, tko šalje s domene (web shop, CRM, računovodstveni program, newsletter alat), gdje su kontakti i kalendari, tko ima poštu na kojem uređaju.
2. Priprema odredišta. Otvaranje tenanta, verifikacija domene, kreiranje korisnika i licenci, postavljanje dijeljenih pretinaca i aliasa, uključivanje MFA i osnovnih sigurnosnih politika.
3. Kopiranje pošte u pozadini. Stara pošta se sinkronizira dok stari sustav i dalje normalno radi. Korisnici u ovoj fazi ne osjete ništa.
4. Prebacivanje isporuke. Promjena MX zapisa. Ovo je jedini trenutak stvarnog reza i planira se izvan radnog vremena; zbog DNS propagacije nekoliko sati poruke mogu stizati u oba sustava, pa se stari pretinac drži aktivnim.
5. Doseg i provjera. Dosinkronizacija zaostalih poruka, provjera da ništa ne nedostaje, postavljanje klijenata na uređajima.
6. Autentikacija. Novi SPF, uključen DKIM, DMARC s izvještajima — i tek nakon što se izvještaji pročitaju, pooštravanje politike.
7. Gašenje starog. Stari pretinci se drže još neko vrijeme, pa tek onda arhiviraju i gase.

Ograničenja koja treba planirati unaprijed, jer iznenađuju: IMAP migracija u Microsoft 365 prenosi samo poštu — ne kontakte, kalendar ni zadatke — ograničena je na 500.000 stavki po pretincu i 35 MB po poruci. Googleova usluga migracije podataka s IMAP izvora prenosi poštu i oznake, ali ne kalendar, kontakte ni dijeljene IMAP mape. Kontakti i kalendari zato se izvoze i uvoze zasebno, i to je normalan dio posla, a ne znak da je nešto pošlo po zlu.

Što radi Vi-Di.me

Vi-Di.me radi migracije i postavljanje Microsoft 365 i Google Workspacea za hrvatske tvrtke, na hrvatskom jeziku i s dokumentacijom koju možete pokazati upravi ili klijentu. Konkretno:

• Procjena i plan — snimka postojećeg stanja, popis svih izvora slanja s Vaše domene, izbor paketa prema stvarnim potrebama (a ne prema najskupljem), plan migracije s terminima.
• Migracija — prijenos pošte, kontakata i kalendara, postavljanje dijeljenih pretinaca, aliasa i delegiranja, prebacivanje klijenata na uređajima, podrška korisnicima u prvim danima.
• Email autentikacija — SPF, DKIM i DMARC, mapiranje svih legitimnih pošiljatelja, čitanje DMARC izvještaja i postupno pooštravanje politike do quarantine ili reject bez rušenja isporučivosti.
• Sigurnosne postavke — MFA i phishing-otporna prijava, gašenje starih protokola, politike za administratorske račune, karantena, pravila protiv nekontroliranog prosljeđivanja, offboarding procedura.
• Backup — kao zaseban sloj, jer, kao što smo objasnili, ni Microsoft ni Google nisu backup. Za to koristimo Hornetsecurity by Proofpoint rješenja, uz definiranu retenciju, opseg i test vraćanja.
• Edukacija — kratka, praktična, na hrvatskom: kako prepoznati phishing, zašto se IBAN nikad ne potvrđuje mailom, što napraviti ako netko sumnja da je kliknuo.

Da budemo pošteni oko opsega: za tvrtku do dvadesetak korisnika ovo nije višemjesečni projekt, nego nekoliko dana fokusiranog rada raspoređenih kroz pripremu, prebacivanje i podešavanje. Točan opseg i cijena ovise o broju korisnika, količini pošte i stanju postojeće domene — zato prvo radimo procjenu, a ne paušalno obećanje. Isto tako: ako procijenimo da Vam je hosting mail zasad sasvim dovoljan, to ćemo Vam i reći, uz popis onoga što na njemu treba posložiti.

Recite nam koliko imate email adresa, gdje su danas i koristi li itko u tvrtki Office ili Google Docs — i vraćamo Vam se s konkretnim planom i okvirnim troškom.

Zatražite procjenu migracije poslovne e-pošte →